Foi revelado que minha carteira de motorista foi colocada à venda no serviço de roubo de identidade chamado Nexus poucas horas depois de eu alugar um veículo, em uma grande violação de dados que, segundo relatos, está sendo investigada pelo FBI. De acordo com o KrebsOnSecurity, o Nexus continha mais de 153 milhões de carteiras de motorista. Os arquivos listados incluíam as faces dianteira e traseira dos documentos, além de imagens infravermelhas e ultravioletas; segundo as informações, esses registros poderiam facilitar que identidades falsas passassem pelas verificações de hologramas.
O Nexus também alegava oferecer carteiras de habilitação comerciais, cartões de identificação governamentais identificados como CAC e cartões de dispensários de maconha. O fato de novos registros geralmente surgirem cerca de um dia, ou até poucas horas, depois de as pessoas apresentarem seus documentos de identidade em empresas de aluguel indica que os dados eram transferidos quase em tempo real a partir de serviços de verificação terceirizados usados pelas empresas. O número de carteiras de motorista listadas aumentou em aproximadamente 400.000 em 24 horas.
Segundo informações públicas, a IDScan.net, sediada em New Orleans, tem um acordo exclusivo com a Planet13 e também lista a Hertz e outras 11 empresas entre seus clientes. A empresa declarou ter iniciado uma investigação. O Nexus ficou inacessível horas depois da reportagem do KrebsOnSecurity; por isso, não é possível verificar se os documentos de identidade das pessoas constam na lista.
Por que isso é importante
O caso mostra que os serviços de triagem de terceiros usados nos processos de verificação de identidade não apenas facilitam as transações, mas também criam uma infraestrutura na qual é coletada uma grande quantidade de dados sensíveis. A presença das faces frontal e traseira, além de imagens infravermelhas e ultravioleta, coloca em pauta, para as pessoas afetadas, não apenas a exposição de informações pessoais, mas também o risco de falsificação de documentos de identidade. O fato de os dados terem sido listados pouco depois das transações de aluguel exige que a investigação se concentre na etapa do fluxo de dados em que isso ocorreu e nos controles de acesso dos provedores de serviços. A inacessibilidade do Nexus, por sua vez, impede que as pessoas verifiquem seus registros, deixando em aberto a questão de quais pessoas e instituições foram de fato afetadas.